Решение № 6188 от 25.05.2021 г. на ВАС по адм. д. № 2098/2021 г.

Решение № 6188 от 25.05.2021 г. на ВАС по адм. д. № 2098/2021 г., V о., докладчик съдията Емил Димитров Производството е по реда на чл. 208 и сл. от Административнопроцесуалния кодекс (АПК). Образувано е по касационна жалба на Г. Т., чрез процесуален представител, против решение № 7105/09.12.2020 г. постановено по адм. дело № 11281/2019 г. на Административен съд София-град/АССГ/, с което в производство по чл. 203-207 АПК вр. чл. 1, ал. 1 ЗОДОВ, е отхвърлен иск на Г. Т. от гр. Бургас, против Национална агенция за приходите/НАП/ с искане за заплащане на обезщетение за претърпени неимуществени вреди в размер на 1000 лв. от незаконосъобразно бездействие, предявен на осн. чл. 203 АПК, вр. чл. 82, § 1 от Общ регламент за защита на личните данни/ЕС/ 2016/679 на Европейския парламент и на Съвета от 27.04.2016 г. /ОРЗД, Регламента/, вр. чл. 39, ал. 2 ЗЗЛД, вр. чл. 1, ал. 1 ЗОДОВ, ведно с иска за присъждане на законната лихва върху сумата на обезщетението, считано от 15.07.2019 г. до окончателното й изплащане, като неоснователен. Касаторът навежда доводи за неправилност на обжалваното решение като постановено в нарушение на материалния закон, съществено нарушение на съдопроизводствените правила и необосновано – отменително основание съгласно чл. 209, т. 3 от АПК. Моли решението да бъде отменено. Подробни съображения излага в касационната жалба. Претендира разноски. Ответникът- Национална агенция за приходите, чрез процесуален представител оспорва касационната жалба. Съображения излага в писмен отговор. Претендира разноски. Прокурорът от Върховна административна прокуратура дава становище за неоснователност на касационната жалба. Касационната жалба е подадена в срок и е допустима, а разгледана по същество е основателна. За да постанови обжалваното решение, АССГ в проведено производство по реда на чл. 203 и сл. АПК вр. чл. 1, ал. 2 ЗОДОВ, е приел, че се касае за иск по чл. 1, ал. 1 ЗДОВ, с предмет на исковата претенция незаконосъобразно бездействие на НАП- нарушение разпоредбите на чл. 24 и чл. 32 ОРЗД и чл. 59, ал. 1 ЗЗЛД, чл. 45, ал. 1, т. 6 ЗЗЛД, чл. 64 ЗЗЛД, чл. 66, ал. 1 и ал. 2 ЗЗЛД, чл. 67 и чл. 68 ЗЗЛД, изразяващо се в неизпълнение на задължението за обработване на личните данни по начин, който да гарантира подходящо ниво на сигурност като се приложат подходящи технологии и организационни мерки и неизвършване на оценка на въздействието на предвидените операции по обработване на личните данни върху тяхната защита. Съдът е приел за общоизвестен факта, че на 15.07.2019 г. е оповестена от медиите информация за хакерска атака, при която от електронните масиви на НАП неправомерно е била изтеглена информация с голям обем, съдържаща лични данни на множество български граждани. АССГ е счел, че в случая не може да се направи извод, че това противоправно деяние е следствие от незаконосъобразно бездействие на ответника да изпълни произтичащи от посочените по-горе разпоредби на Регламента и закона задължения да осигури достатъчна надеждност и сигурност на информационната си система и да защити физическите лица във вр. с обработването на личните им данни. Приел е, че от доказателствата по делото не се установяват твърдените пропуски под формата на бездействие, като НАП е предприела в тази насока всички необходими технически и организационни мерки, за да минимизира рисковете от поддържането на електронните услуги. Според съда рисковете не могат да бъдат на 100% избегнати, а задължението се свежда до предприемане на мерки за минимизацията им, установяващи се от приетите по делото доказателства, от които е видно, че към 15.07.2019 г. в НАП са разработени и утвърдени документи, както следва: Издадена е Заповед № 3 ЦУ-746/25.05.2018 г. на изпълнителния директор на НАП, с което е утвърдена политика по защита на личните данни в НАП. Утвърдена е Политика по информационна сигурност на НАП, версия 3. 0 от м. май 2016, както и Инструкция № 2/08.05.2019 г. за мерките и средствата за защита на личните данни, обработвани в НАП и реда за движение на преписки и заявяване на регистри. Като приложение № 1, към чл. 24, ал. 2 от Инструкцията, служителите на НАП попълват декларация за това, че ще пазят в тайна личните данни на трети лица, станали им известни при изпълнение на служебните им задължения, няма да ги разпространяват и да ги използват за други цели, освен за прякото изпълнение на служебните им задължения. Със Заповед № 31 ДУ-586/30.04.2014 г. на изпълнителния директор на НАП е наредено да се внедри СУСИ по стандарт БДС IS0/IEC 27001: 2006 в НАП. Изработена е Методика за оценка на риска, версия 1, към м. декември 2015 г. Със Заповед № 3 ЦУ-1436/15.10.2018 г. на изпълнителния директор на НАП са утвърдени "Указания за разработване, попълване и/ или зареждане с данни на образци на документи и приложения, утвърдени на основание чл. 10, ал. 1, т. 5 и т. 7 ЗНАП", "Указания за обозначаване и работа с информация", "Указания за попълване на образци на процедура", "Указания за попълване на образеца на инструкция" и др. Разработена е процедура за оценка на риска за информационната сигурност, утвърден е списък на видовете операции по обработване на лични данни, за които се изисква извършване на оценка на въздействието върху защитата на данните, съгласно чл. 35, пар. 4 от Регламент /ЕС/ 2016/679. След оповестяване и узнаване за неоторизирания достъп, на основание чл. 22 от Регламента, НАП незабавно е уведомила за случая КЗЛД с писмо. Уведомена е и Софийската градска прокуратура за наличие на данни за извършено престъпление чрез осъществен неоторизиран достъп до информационната система на НАП и разпространение на защитена информация на граждани, обработвани от Агенцията, с искане за незабавно образуване на наказателно производство по случая. Уведомени са специализираните звена при ГД "БОП" - МВР и ДАНС. Предприети са мерки за незабавно уведомяване на обществеността чрез онлайн и други медии, както и са предприети мерки за преустановяване на нерегламентирания достъп. Извел е заключение, че са спазени разпоредбите на чл. 33 и чл. 34 от Регламента, като е проведено предписаното в тях уведомяване, вкл. както на компетентните органи - КЗЛД, Прокуратура и МВР, така и на обществеността. Приел е, че нормата на чл. 1, ал. 1 ЗДОВ има предвид фактическо бездействие по см. на чл. 256 АПК, т. е. бездействието на административния орган по задължение, произтичащо пряко от нормативен акт или което той е длъжен да извърши по силата на закона, но в случая са установени множество организационни мерки за внедряване на съответни технологии от страна на НАП за поддържане на базата данни при същата, включително съдържаща и лични данни, и не се е установило по делото обратното-прилагане на неподходящи технологии или липса на организационни мерки, като осъщественият резултат-нерегламентиран достъп, не е еднозначно следствие и не доказва причината за неговото възникване. АССГ е достигнал до извод, че не е доказано по безспорен начин твърдяното незаконосъобразно бездействие на НАП, което да обоснове наличието на първата предпоставка за възникване правото на обезщетение в хипотезата на чл. 1, ал. 1 ЗДОВ, и следва да се приеме, че не е налице и пряка причинно-следствена връзка между него и настъпилите неимуществени вреди. В този смисъл съдът е приел, че от приетото по делото доказателство-снимка на електронно съобщение с текст "НАП: по заявка номер 8277 има неправомерно разкрити лични данни" не става ясно за кого се отнасят личните данни и в какъв обем са разкрити. По делото е разпитан свидетел, от показанията на който се установява, че след като през 2019 г. ищеца разбрал за случая се притеснил, защото някой може да злоупотреби и да изтегли кредит, но според съда от неговите показания и другите доказателства по делото не се установява реално настъпване на конкретни неимуществени вреди. Решението е неправилно. АССГ неправилно е определил правното основание на предявения иск, в следствие на което неправилно е разпределил доказателствената тежест между страните, извел е несъответни на установената фактическа обстановка заключения относно липсата на вреда, липсата на нарушени разпоредби от приложимата материалноправна уредба, и липса на причинна връзка между претърпяната вреда и нарушените разпоредби. В резултат решаващия съд е достигнал до незаконосъобразни правни изводи. Противно на възприетото от първостепенния съд, правното основание на предявения иск е чл. 82 ОРЗД "Право на обезщетение и отговорност за причинени вреди" ( виж посоченото от ищеца на стр. 14 от исковата молба), според който (чл. 82, § 1 ОРЗД) 1. Всяко лице, което е претърпяло материални или нематериални вреди в резултат на нарушение на настоящия регламент, има право да получи обезщетение от администратора или обработващия лични данни за нанесените вреди. Съгласно чл. 82, § 2, 3, 4, 5, 6 ОРЗД: 2. Администраторът, участващ в обработването на лични данни, носи отговорност за вреди, произтичащи от извършеното обработване, което нарушава настоящия регламент. Обработващият лични данни носи отговорност за вреди, произтичащи от извършеното обработване, само когато не е изпълнил задълженията по настоящия регламент, конкретно насочени към обработващите лични данни, или когато е действал извън законосъобразните указания на администратора или в противоречие с тях.; 3. Администраторът или обработващият лични данни се освобождава от отговорност съгласно параграф 2, ако докаже, че по никакъв начин не е отговорен за събитието, причинило вредата.; 4. Когато в една и съща операция по обработване участват повече от един администратор или обработващ лични данни или участват и администратор, и обработващ лични данни, и когато те са отговорни по параграфи 2 и 3 за вреда, причинена от обработването, всеки администратор или обработващ лични данни носи отговорност за цялата вреда, за да се гарантира действително обезщетение на субекта на данни.; 5. Когато администратор или обработващ лични данни е изплатил съгласно параграф 4 пълното обезщетение за причинената вреда, той има право да поиска от другите администратори или обработващи лични данни, участвали в същата операция по обработване на лични данни, да му възстановят част от платеното обезщетение, съответстваща на тяхната част от отговорността за причинената вреда в съответствие с условията по параграф 2.; 6. Съдебните производства във връзка с упражняването на правото на обезщетение се образуват пред съдилища, компетентни съгласно правото на държавата членка, посочена в член 79, параграф 2. С оглед посоченото правно основание, три са изискуемите компоненти, съдържими в предмета на доказване за реализиране правото на обезщетение и отговорност за причинени вреди по чл. 82 ОРЗД: претърпяна от лице материална или нематериална вреда; нарушение на Регламент (ЕС) 2016/679 извършено от администратор или обработващ лични данни/ по см. на чл. 4, § 7 и § 8 от Регламента/, доказано по съответния процесуален ред; причинна връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679. Доказателствената тежест в процесното съдебно исково (а не административно) производство, съгласно разпоредбата на чл. 82, § 3 ОРЗД, при възражение за освобождаване от отговорност за причинени вреди в резултат на нарушаване на Регламента, поради това, че администратор на лични данни не е осигурил и не е приложил подходящи технически и организационни мерки, е изцяло в тежест на администратора и обработващия лични данни–НАП, ответна по делото пред АССГ страна, който следва да докаже, че обработването на личните данни се извършва в съответствие с Регламента. Съответно доказателствената тежест за доказване на настъпилата неимуществена вреда е изцяло за ищеца. В този смисъл не се спори, че НАП има качеството на администратор на лични данни по см. на чл. 4, т. 7 от ОРЗД, като за доказване изпълнение задълженията си в това му качество, произтичащи от Регламента и ЗЗЛД, ответника е представил по делото посочените по горе писмени доказателства за предприети мерки. По делото е безспорно установено, че поради нерегламентиран достъп, в следствие на умишлени действия от страна на неизвестно лице, осъществен на 15.07.2019 г., е изтекла информация от информационните масиви на НАП, съдържаща лични данни на общо 6074140 физически лица, от които 4104786 живи ФЛ, български и чужди граждани, и 1989598 починали ФЛ, включващи следните категории лични данни на ФЛ-имена, ЕГН, адреси, телефони, електронни адреси и др. информация за контакт, данни от ГДД на ФЛ, данни от справките за изплатени доходи на ФЛ, данни от осигурителни декларации, данни за здравноосигурителни вноски, за издадени АУАН и др., а ответника не оспорва факта, че по отношение на ищеца Т. са налице неправомерно разкрити лични данни от категорията на изброените по-горе. При тези данни в конкретния казус първоинстанционния съд съобразно установените факти по делото неправилно е приел, че не е налице нарушение на Регламента от Национална агенция за приходите в качеството й на администратор на лични данни, спрямо правата на ищеца, в качеството и на субект на лични данни, при тяхната обработка. Нарушението според настоящия състав, е осъществено чрез бездействие, което се изразява в неосигуряване(невъвеждане) на подходящи организационни и технически мерки, които в необходимата степен да гарантират защитата на личните данни на ищеца Г. Т., и като последица неосигуряване подходящо ниво на сигурност на тези лични данни, което бездействие по същество представлява неточно изпълнение задълженията на администратора на лични данни -НАП по чл. 24 и чл. 32 от ОРЗД. Предвид твърденията на ищеца в исковата молба, при условията на пълно насрещно доказване ответника в процеса Национална агенция за приходи не е установила по делото факти, за доказването на които същата носи доказателствена тежест, а такива факти в случая следва да са мерки(различни по вид с организационен и технически характер), които да са предприети, но и не само-трябва да са осъществени, т. е. въведени по см. на Регламента и да са подходящи, водещи до еднозначен резултат-сигурна обработка на личните данни, което практически означава изградено ниво на сигурност, чиято степен минимизира риска от неправомерно унищожаване, загуба, промяна, неразрешено разкриване или достъп до прехвърлени, съхранявани или обработени по друг начин лични данни. Ответната страна е проявила недостатъчна процесуална активност, представяйки пред първата инстанция единствено писмени доказателства, от прочита на които не може да се обоснове освобождаване от отговорност на администратора на лични данни по см. на чл. 82, § 3 ОРЗД, т. е. не е доказано в процеса, че администратора на лични данни по никакъв начин не е отговорен за събитието, причинило вредата. Необоснован и противоречащ на приетите по делото доказателства е извода на първостепенния съд, че ищеца не е претърпял неимуществени вреди. Този извод се опровергава от показанията на допуснатия и разпитан по делото свидетел Е. П., според които ищеца е бил притеснен, че може да се злоупотреби с личните му данни. Противно на възприетото от АССГ, настъпилите неимуществени вреди не са хипотетични или евентуални. В случая предвид характера на събитието не е необходимо каквото и да е активно поведение на пострадалото лице, напр. да извърши проверка кои конкретно негови данни са изтекли. Обратният извод- за необходимост от някакви действия на субекта налични данни, противоречи на характера на обществените отношения по обработването на лични данни, динамиката на тези данни в обществото и със самия характер на личните данни като дълбоко свързани с персоналната идентичност на субекта, която свързаност е до степен, че дори вероятността за тяхното разкриване, възприета от личността, винаги има за резултат чувствително засягане психическото и емоционално състояние на субекта. Това засягане е с преимуществено негативен характер защото последицата от неправомерното обработване е засягане правата и свободите на личността. В този смисъл доказани от ищеца в случая са понесени от него болки, страдания и неудобства от категорията на обичайната дистресова реакция, т. е. налице е негативно засягане на личността от неправомерното развитие на процесните обществени отношения. Неправилно е заключението на АССГ относно липсата на причина връзка между претърпяната вреда и нарушението на Регламент (ЕС) 2016/679. Следва да се отбележи, че в производството по чл. 82 от Регламента предмет на изследване е поведението на администратора/обработващия личните данни, т. е. неговото деяние-действие или бездействие, и именно то трябва да е условието, което необходимо е предизвикало отрицателната последица в сферата на засегнатото лице-субект на лични данни. В конкретиката на казуса поведението на ответника –бездействие(неизпълнение задължение по Регламента), като първо по време събитие, е релевантния факт, проявил се като условие за последващия факт- неразрешено разкриване и достъп до съхранени данни(събитие, елемент от причинно-следствената верига), при което цитираното първо по време събитие закономерно е довело до процесните болки и страдания, т. е. доказания в производството отрицателен резултат в сферата на ищеца. Казано по друг начин, неимуществените вреди като резултат произтичат от бездействието на ответника, като трябва изрично да се подчертае, че това поведение е практически годно, т. е. създаващо реална възможност да предизвика крайния резултат, защото неправилната преценка на значимостта на риска от пробив в електронната база данни(съдържаща и лични данни) и проявеното бездействие, предвид техническото ниво на развитие, обезпечеността, знанията и уменията, необходими за осъществяването на такъв пробив, води до повишаване този риск до ниво, което поддържа вероятността за настъпване събитие от изброените в чл. 32, § 2 от Регламента в достатъчно продължителен интервал от време над определена критична величина. Публичното оповестяване на изтичането на данни, като начин на довеждане на определена информация до знанието на обществото, е ирелевантно за настоящия спор. В обобщение –по делото са доказани всички необходими елементи за реализиране правото на обезщетение и отговорност за причинени вреди по чл. 82 ОРЗД на ищеца Г. Т.. При заявената от ищеца претенция за присъждане обезщетение в размер на 1000 лв. и предвид установения по делото интензитет на негативно увреждане(претърпените неимуществени вреди), подлежащи на обезщетяване, жизненият стандарт и инфлационните процеси в страната, настоящият съдебен състав приема, че справедливият размер на дължимото обезщетение е 500 лева. Решението на АССГ като неправилно-постановено при наличие на касационното основание по чл. 209, т. 3, предл. първо и трето, следва да се отмени, като вместо това се постанови друго по съществото на спора, с което Национална агенция за приходите, в качеството й на администратор на лични данни бъде осъдена на основание чл. 82, § 1 и § 2 от Регламент (ЕС) 2016/679, да заплати на Г. Т. обезщетение за нанесени неимуществени вреди в размер на 500 лева. Исковата претенция за разликата над 500 лв. до пълния предявен размер от 1000 лв. следва да се отхвърли като неоснователна и недоказана. С оглед претендираната законна лихва върху размера на обезщетението, такава следва да се присъди от датата на завеждане на исковата молба-16.09.2019 г. до окончателното заплащане на обезщетението. При този изход на спора и направеното искане за присъждане на разноски на ищеца, и съдържащата се в искането претенция за присъждане адвокатско възнаграждение предвид представителството на същата от адвокат по реда на чл. 38, ал. 2 вр. ал. 1, т. 3 ЗА, в полза на адвокат С. Ю. от Софийска адвокатска колегия следва да определи възнаграждение съразмерно с уважената част на иска и съобразно чл. 8, ал. 1, т. 2 от Наредба № 1 от 09.07.2004 г. за минималните размери на адвокатските възнаграждения, в размер на 150 лв., платимо от администрацията на ответника, а Национална агенция за приходите бъде осъдена да заплати на Г. Т. сума в размер на 15 лева- платена от ищцата държавна такса за две съдебни инстанции. Водим от горното и на основание чл. 221, ал. 2, изр. първо, предложение второ от АПК, Върховният административен съд, състав на Пето отделение